Weerstandsvermogen en risicobeheersing

Deze paragraaf geeft inzicht in de financiële positie van de gemeente Son en Breugel. Hiervoor beschrijven en waarderen we de risico's. Vervolgens zetten we het totaal aan risico's af tegen de aanwezige weerstandscapaciteit. Voor wat betreft het beleid over weerstandsvermogen en risicobeheersing hanteren we de uitgangspunten van de 'Nota Risicomanagement en Weerstandsvermogen'.
Als laatste worden de financiële kengetallen gepresenteerd.

In de raadsvergadering van 21 maart 2013 heeft de raad de ‘Nota risicomanagement en weerstandsvermogen’ vastgesteld. In de nota wordt het beleidskader voor het weerstandsvermogen beschreven. Dit kader luidt als volgt:

• De gemeenteraad wordt via de planning- en controldocumenten geïnformeerd over de 15 belangrijkste risico’s, de beschikbare weerstandscapaciteit en de ratio van het weerstandsvermogen;
• De ‘Nota risicomanagement en weerstandsvermogen’ wordt als basis gehanteerd voor de opstelling van de verplicht voorgeschreven paragraaf weerstandsvermogen en risicobeheersing in de meerjarenprogrammabegroting en de jaarrekening;
• Voor de berekening van de beschikbare weerstandscapaciteit worden de onbenutte belastingcapaciteit en de stille reserves buiten beschouwing gelaten;
• Uitgegaan wordt van een gewenste minimale score voor de ratio weerstandsvermogen van ‘voldoende’ (ratio > 1);
• Als de ratio weerstandsvermogen door de toename van risico’s onder de 1 uitkomt, zal ofwel de beschikbare weerstandscapaciteit worden aangevuld, ofwel extra inspanningen worden gedaan om de benodigde weerstandscapaciteit terug te brengen. In deze situatie zal het college voorstellen doen aan de gemeenteraad die ervoor moeten zorgen dat het weerstandsvermogen weer op het gewenste niveau komt.

In de ‘Nota risicomanagement en weerstandsvermogen’ is uitvoerig ingegaan op het wettelijk kader, de inventarisatie van de risico’s en de weerstandscapaciteit. De beleidsconclusies zijn hierboven weergegeven.

Top 10
Er is een selectie gemaakt van 10 in plaats van 15 risico's die extra aandacht verdienen. De impact van de risico's buiten de top 10 op de benodigde weerstandscapaciteit is beperkt. De risico's buiten de top 10 worden via de verzameling "Overige risico's" wel meegenomen in de berekening van de weerstandsratio.

In veel gevallen kunnen we de exacte waarde van een risico niet bepalen. Om de risico's toch te kwantificeren werken we met klassengemiddelden. Deze klassengemiddelden leiden tot de financiële gevolgen in de onderstaande tabel. De risicowaarde bepalen we vervolgens aan de hand van de volgende berekening:

Risicowaarde (€) = Kans (%) x Gevolg (€)

Het totaal aan risicowaarden vormt de benodigde weerstandscapaciteit. Omdat niet alle risico’s zich tegelijk manifesteren rekenen we hierbij met een zekerheidspercentage van 90%.

Hoewel zorgvuldig is geprobeerd om alle risico’s in beeld te brengen, kan het voorkomen dat een risico niet is opgenomen. Zoals eerder genoemd is risicomanagement een dynamisch proces en voortschrijdend inzicht zorgt voor een steeds vollediger beeld. 

Het is onmogelijk en onwenselijk om te sturen op alle geïdentificeerde risico’s. Door de risico’s te kwantificeren wordt de lijst geordend. Op deze manier ligt de focus op de risico’s die de grootste impact op de organisatie hebben. Zowel de kans dat een risico zich manifesteert als de impact die het risico met zich meebrengt moet worden bepaald. 

Er wordt een inschatting gemaakt van de waarschijnlijkheid dat het risico daadwerkelijk optreedt. Vervolgens wordt een inschatting gemaakt van het bedrag dat de gemeente kwijt is indien het risico optreedt. Het kwantificeren van risico’s is een proces van taxeren en inschatten en heeft daarmee altijd in bepaalde mate een subjectief karakter.

Twee keer per jaar worden de risico’s opnieuw geïnventariseerd en berekend. Ten opzichte van de begroting 2023 is de totale risicowaarde afgenomen. De risicowaarde van de risico's "Externe gevolgen cybercriminaliteit/beveiligingsincident", "Wolfswinkel", "Crisisbeheersing" en "Inkoop"  zijn verlaagd.

1] Jeugdzorg
Door incidenten (crisis, gesloten jeugdzorg, jeugdbescherming) of door instroom van cliënten met hoogcomplexe casuïstiek bestaat het risico dat er een beroep wordt gedaan op de zwaardere, duurdere en langdurige jeugdzorg. Ook kunnen we achteraf geconfronteerd worden met kosten voor zorg als gevolg van directe verwijzingen door medische verwijzers (waaronder huisartsen en jeugdartsen). Deze medische verwijsroute is wettelijk ingeregeld.

Beheersmaatregel
Het CMD zet samen met partners als huisartsen, jeugdarts en voorliggend veld in op vroegtijdige signalering van problemen. Ondersteuning wordt altijd zo licht als mogelijk en zo zwaar als nodig ingezet. Per 2022 geldt voor lichte, kortdurende en voor hoogcomplexe, langdurige hulpverleningstrajecten een verschillende financiering aan zorgaanbieders.
Bij de jeugdzorg gaat het veelal om incidenten, waar slechts ten dele op gestuurd kan worden. CMD en partners proberen de vroegsignalering van casussen waar jeugdzorg nodig is te intensiveren.

2] CMD algemeen
In 2021 heeft het College het bedrijfsplan voor het CMD vastgesteld. De financiële gevolgen uit het bedrijfsplan zijn verwerkt in de begroting 2022. Het uitvoeringsplan 2022 is in het voorjaar 2022 vastgesteld, waarmee we gaan werken aan het meer grip krijgen op de verschillende processen en procedures.

We gaan er vanuit dat het verandertraject leidt tot een reductie van de uitgaven en het beroep op de voorzieningen. Het verandertraject en het opvolgen van de aanbevelingen kost echter tijd, we hebben geen garanties dat de aanpak daadwerkelijk leidt tot kostenbesparing en we zien nog steeds een ontwikkeling van toenemende vraag.

Beheersmaatregel
Het verandertraject moet leiden tot een integrale aanpak waarin we de aanbevelingen in samenhang laten terugkomen, om zo de slagingskans zo groot mogelijk te maken. We blijven monitoren en anticiperen op de trends waaronder de stijgende hulpvraag. We betrekken daarbij de medewerkers en de netwerkpartners van het CMD bij het opvolgen van de aanbevelingen waaronder de uitwerking van de visie. Tegelijkertijd blijven we onze inwoners adequaat ondersteunen bij hun hulpvraag. Dat vraagt het nodige van de medewerkers binnen het CMD. De formatie moet daarbij op orde zijn om zowel het verandertraject goed te kunnen doorlopen als ook onze inwoners adequaat te ondersteunen.

3] Externe gevolgen cybercriminaliteit / beveiligingsincident
Een beveiligingsincident is een inbreuk op de beveiliging, waarbij de beschikbaarheid, de integriteit of de vertrouwelijkheid van informatie in gevaar is of kan komen. Een beveiligingsincident kan ook onbewust worden veroorzaakt. Cybercriminaliteit is criminaliteit met ICT als middel én doelwit. Cybercriminaliteit is veelvoorkomend. Aan de ene kant wordt ICT steeds complexer en aan de andere kant blijkt uit de benchmark dat we onder het gemiddelde zitten qua middelen.

IBD dreigingsbeeld 2023-2024: "De dreiging van ransomware-aanvallen neemt toe. Aan de lopende band proberen criminelen een ingang te vinden. De (potentiële) gevolgen van een aanval worden ook steeds ernstiger: het wordt merkbaar. Het fenomeen ransomware (gijzelsoftware) komt al jaren voor. Criminelen versleutelen gegevens en persen het slachtoffer af om deze gegevens na het betalen van losgeld weer toegankelijk te maken. De IBD ontving de afgelopen twee jaar steeds meer meldingen van situaties waar gemeentelijke processen langdurig(er) verstoord zijn als gevolg van destructieve gijzelsoftware. Criminelen aarzelen niet om privacygevoelige gegevens van inwoners, bedrijven en medewerkers online te publiceren."

De externe gevolgen van cybercriminaliteit of een beveiligingsincident kunnen groot zijn: 
- Een getroffen organisatie is vaak weken of maanden bezig om de bedrijfsprocessen en informatiebeveiliging weer op orde te krijgen en de complete gegevensregistraties opnieuw op te bouwen.
- Beveiligings- en privacy- incidenten schaden ook het vertrouwen van inwoners in de overheid, de reputatie van de organisatie en haar bestuurders.

Daarnaast kunnen onzorgvuldige omgang met persoonsgegevens en overtredingen van de Algemene verordening gegevensbescherming (AVG) leiden tot aansprakelijkheidsstellingen van getroffenen of boetes van de privacytoezichthouder. Een boete wegens onzorgvuldig handelen met de privacy van inwoners kan bovendien leiden tot grote imagoschade.

Drie soorten dreigingen vallen de laatste tijd op:
- Meer ransomware, destructievere gevolgen
- Steeds meer en ernstiger kwetsbaarheden in software
- Gevaren in ketens.

Beheersmaatregel
De CISO, Privacybeheerder en FG organiseren acties om het bewustzijn rondom cybercriminaliteit en beveiligingsincidenten binnen de organisaties te verhogen. Tevens worden medewerkers actief herinnerd aan de gedragscodes omtrent computergebruik en privacywetgeving. Ook worden organisatorische maatregelen getroffen, zoals het inrichten van een governancestructuur, informatiebeveiligings- en gegevensbeschermingsbeleid, inrichten van autorisaties en beschrijven van werkprocessen.

Gemeenten zijn in 2015 aangesloten bij de IBD VNG en hebben de BIO (Baseline Informatieveiligheid Overheid) als norm voor hun informatieveiligheid ingevoerd, waarbij eigenaarschap en risico analyse centraal staan. De IBD adviseert ons bepaalde maatregelen te treffen. Die voeren wij door, voor zover op ons van toepassing.

4] Algemene uitkering gemeentefonds
Via circulaires wordt de gemeente tweemaal per jaar geconfronteerd met aanpassingen vanuit het gemeentefonds. In 2022 is besloten om twee belangrijke wijzigingen in de indexering van de algemene uitkering door te voeren. Ten eerste wordt vanaf 2026 niet langer via de normeringssystematiek ('samen de trap op, samen de trap af') geïndexeerd. Daarmee vervalt de koppeling aan de rijksuitgaven. Het accres wordt wel bijgesteld als gevolg van jaarlijkse loon- en prijsontwikkelingen. Ten tweede geldt dat het volumedeel van het accres voor de periode tot en met 2025 is vastgezet op de stand van de meicirculaire 2022. Door het vastzetten van het volumedeel van het accres zijn er bij zowel het Rijk als de gemeenten veel minder budgettaire schommelingen dan voorheen. Dit betekent dat de accresstanden voor deze jaren slechts nog wijzigingen als gevolg van loon- en prijsontwikkelingen. 

Het verdeelmodel wordt nog verder verbeterd. Onderzoeken naar de centrumfunctie, eenpersoonshuishoudens, inkomstencorrecties WOZ-waarden en de overige eigen middelen (OEM) lopen nog. De eerste resultaten hiervan zijn in de loop van 2023 te verwachten.
 
De schommelingen in de algemene uitkering kunnen problemen veroorzaken voor het sluitend krijgen van de begroting. Op de hoogte van de algemene uitkering kan geen invloed worden uitgeoefend.

Beheersmaatregel
De algemene uitkering maakt integraal onderdeel uit van de begroting. De schommelingen worden op het eerst volgende moment binnen de exploitatie verwerkt om deze sluitend te houden.

5] Interne gevolgen cybercriminaliteit / beveiligingsincident
Naast de externe gevolgen - die genoemd worden bij risico 3 - loopt de organisatie ook het risico op mogelijk interne gevolgen. Grootste risico's daarbij zijn:
- Uitval van dienstverlening en bedrijfsvoering;
- Fouten in de dienstverlening;
- Herstelkosten.

Drie soorten dreigingen vallen de laatste tijd op:
- Meer ransomware, desctructievere gevolgen
- Steeds meer en ernstiger kwetsbaarheden in software
- Gevaren in ketens.

Beheersmaatregel
Er worden technische maatregelen genomen, zoals het uitvoeren van technische scans, SIEM/SOC, 2FA.

6] Intergemeentelijke samenwerking - Dienst Dommelvallei
De samenwerking op het gebied van bedrijfsvoering en dienstverlening verloopt via de Gemeenschappelijke Regeling Dienst Dommelvallei. Op basis van de vastgestelde begroting van Dienst Dommelvallei wordt financieel bijgedragen aan de dienst. Hierbij zijn ook aannames gemaakt met betrekking tot te realiseren efficiency. Omdat Dienst Dommelvallei geen eigen reserves heeft, worden de risico’s van de dienst betrokken bij de risicowaarde van de drie deelnemende gemeenten.

Beheersmaatregel
Via een begroting, jaarrekening en rapportages (Dommelvallei) worden de ontwikkelingen periodiek en intensief gevolgd. Eventuele effecten kunnen rechtstreeks verwerkt worden in de eigen begroting. Daarnaast is sprake van deelname in het bestuur van Dienst Dommelvallei.
De risico's van Dienst Dommelvallei zijn, voor zover mogelijk, inzichtelijk gemaakt en beheersmaatregelen zijn geformuleerd.

7] Naheffing Attero
Als de naheffing op basis van tonnages wordt berekend, dan is de naheffing hoger.

Beheersmaatregel
De gemeente heeft net als de andere deelnemende gemeenten een stem in de verdeelsleutel.

8] Belastingaangifte
De gemeente is aansprakelijk voor fouten in loonbelastingopgaves, Btw-aangiften, opgave Btw compensatiefonds en de WKR. Bovendien kan de gemeente aansprakelijk worden gesteld voor belastingschulden van andere bedrijven op basis van inleners of ketenaansprakelijkheid.

Beheersmaatregel
Met het oog op de ontwikkelingen rondom 'Horizontaal Toezicht' met de Belastingdienst wordt er gewerkt aan een 'Tax Control Framework'. Dit betekent niet dat het risico komt te vervallen.

9] Crisisbeheersing
Iedere gemeente kan te maken krijgen met incidenten, die de status van een crisis krijgen. Deze kunnen plaatsvinden zowel in het fysieke als het sociale domein. Ook kunnen crises lokaal, regionaal of bovenregionaal van karakter zijn.

Beheersmaatregel
Door adequate maatregelen kunnen de effecten van een crisis zo veel mogelijk beperkt worden. Lokale, regionale en landelijke crisisorganisaties voorzien daarin, met name door crisiscoördinatie en -organisatie. Goede eenduidige informatievoorziening, opleidingen en oefenen zijn daarbij randvoorwaarden voor succes. Implementatie van verbeterpunten uit evaluaties zorgt steeds voor verdere professionalisering van de crisisorganisatie.
Daarnaast wordt ruim ingezet op preventie en preparatie om aan de voorkant crises te voorkomen. 

De inrichting van de crisisorganisatie wordt geactualiseerd. Leerpunten uit de coronacrisis, de uitgangspunten van de visie op crisisbeheersing en de aanbevelingen van de evaluatie Wet veiligheidsregio’s worden hierin meegenomen. Er wordt vormgegeven aan een nog professionelere multidisciplinaire organisatie. Veiligheidsregio’s Brabant-Zuidoost en Brabant-Noord en de Politie Oost-Brabant werken hierin nauw samen. Een goed getrainde organisatie die expertise betrekt waar nodig, kan door adequaat ingrijpen de effecten van incidenten zo veel mogelijk beperken.

Met de transities is de gemeente verantwoordelijk geworden voor veel zorgtaken. Hierdoor kan de gemeente vaker partij zijn wanneer een crisis in het sociale domein zich voordoet.

Met de coronacrisis is bevestigd dat een ongekende crisis realiteit kan worden. Een pandemie is al langer gekwalificeerd als een risico met grote waarschijnlijkheid en mogelijk catastrofale gevolgen. Ook voor de toekomst moeten we hiermee rekening houden. 
Voor de opdracht aan gemeenten om per direct noodopvang van vluchtelingen uit Oekraïne te realiseren, is in eerste instantie gewerkt conform de communicatielijnen en de organisatiestructuur van de crisisbeheersing. Ook met dit soort opgaven met enorme impact voor gemeenten moeten we in de toekomst wellicht vaker rekening houden. 

10] GGD Brabant Zuidoost
De Gemeenschappelijke Regeling GGD Brabant Zuidoost heeft tot doel een bijdrage te leveren aan de publieke gezondheidszorg. Op basis van de begroting wordt financieel bijgedragen.
Binnen de Gemeenschappelijke Regeling zijn gemeenten alleen verantwoordelijk voor de taken op het gebied van de publieke gezondheidszorg. De zorgverzekeraars zijn verantwoordelijk voor de bekostiging van de ambulancezorg. De gemeenten zijn daarom voor een deel van het onafgedekte risico van
€ 1.850.000 verantwoordelijk.

Beheersmaatregel
Via de begroting, jaarrekening en rapportages worden de ontwikkelingen periodiek en intensief gevolgd. Eventuele effecten kunnen rechtstreeks verwerkt worden in de eigen begroting. Daarnaast is sprake van deelname in het bestuur en ambtelijk het Opdrachtgeversplatform.

De beschikbare weerstandscapaciteit is de verzamelterm van al die bronnen waaruit niet voorziene financiële tegenvallers bekostigd kunnen worden.

Er is veel meer incidentele capaciteit beschikbaar dan structurele capaciteit. De structurele capaciteit kan in principe jaarlijks worden vrijgemaakt voor financiële tegenvallers. De incidentele capaciteit kan slechts eenmaal worden aangesproken en kan pas na aanvulling weer worden gebruikt om volgende tegenvallers op te vangen.

Er wordt uitgegaan van een gewenste minimale score voor de ratio weerstandsvermogen van ‘voldoende’ (ratio ≥ 1). Deze verhouding wordt als volgt bepaald:

Ratio weerstandsvermogen = Beschikbare weerstandscapaciteit / Benodigde weerstandscapaciteit

€ 10.753.280 / € 1.673.770 = 6,42

Wij concluderen dat het weerstandsvermogen van de gemeente met een weerstandsratio van 6,42 goed is.

Ontwikkeling weerstandsvermogen
De onderstaande grafiek laat de ontwikkeling van de weerstandsratio zien, inclusief de prognose voor de komende jaren. Voor de prognose gaan we uit van gelijk blijvende benodigde weerstandscapaciteit. Voor de beschikbare weerstandscapaciteit gaan we uit van de meerjarenramingen.

Met een weerstandsratio van 6,42 is het weerstandsvermogen van Son en Breugel goed. Ook voor de komende jaren blijft de ratio op een goed niveau gehandhaafd.